Kampania rozpoczęła się około dwóch lat temu i początkowo skupiała się na użytkownikach portfeli kryptowalutowych. W ostatnim czasie atakujący zmienili jednak cel i zaczęli publikować złośliwe repozytoria udające narzędzia do automatyzacji skanowania, testów bezpieczeństwa oraz analizy logów. Jednym ze zidentyfikowanych przykładów był fałszywy skrypt promowany jako lekkie rozwiązanie do analizy i formatowania wyników ze skanera sieciowego Fscan. Wcześniejsze przynęty obejmowały gry oparte na blockchainie, boty i narzędzia do oszukiwania w grach.
Badacze z firmy Dr. Web wykazali, że złośliwy kod ukrywano w plikach projektów Visual Studio, skryptach w języku Python oraz plikach źródłowych Go. Do ukrycia kodu wykorzystano starą, lecz wciąż skuteczną technikę polegającą na umieszczaniu go za długimi ciągami białych znaków. W części projektów Visual Studio zastosowano procedurę pre-build event, która uruchamia kod jeszcze przed rozpoczęciem kompilacji.
Proces infekcji rozpoczyna się od użycia PowerShell do pobrania zaszyfrowanego łącza, z którego ściągany jest modułowy loader bazujący na frameworku Electron o nazwie „Microsoft.exe”. Loader ten zapewnia trwałość w zainfekowanym systemie, podnosi swoje uprawnienia, wyłącza funkcje bezpieczeństwa i przywracania systemu Windows, a następnie wstrzykuje złośliwe oprogramowanie kolejnego etapu do legalnych procesów.
W domyślnym trybie działania (Mode3) loader stosuje sześć technik unikania detekcji: sprawia, że proces explorer.exe wygląda na jego proces nadrzędny, modyfikuje rejestr Windows, aby wyłączyć Smart App Control, przywraca z dysku oryginalny kod ntdll.dll i usuwa hooki oprogramowania ochronnego, wykonuje bezpośrednie wywołania systemowe Windows, modyfikuje EtwEventWrite w pamięci, tłumiąc śledzenie zdarzeń, oraz modyfikuje AmsiScanBuffer, co zakłóca skanowanie skryptów przez antywirus. Jeśli tryb Mode3 zawiedzie, loader przełącza się na Mode2, dodając wyjątki w Microsoft Defenderze i wstrzykując ładunki do „RegAsm.exe”.
Ostatecznie dostarczanymi ładunkami są backdoor AsyncRAT, oprogramowanie typu clipper podmieniające adresy portfeli kryptowalut w schowku oraz infostealer. Złośliwy program zbiera dane z przeglądarek, ustawienia VPN, pliki konfiguracyjne klientów FTP, dane kont gier oraz tokeny Discorda, po czym przesyła je za pośrednictwem bota na platformie Telegram. Złośliwe oprogramowanie próbuje również usunąć programy antywirusowe ESET, McAfee i Malwarebytes, odciąć je od serwerów aktualizacji oraz zakłócać tworzenie kopii zapasowych w Windows. Badacze natrafili także na nieukończony komponent służący do ponownego pobierania loadera, co wskazuje na dalszy rozwój projektu przez cyberprzestępców.
